如何借助在线工具手动验证JWT签名？签名不匹配问题求解

我完全懂你这种头疼的情况——HS256的JWT签名验证逻辑明明应该很直白，但偏偏有些在线工具就是会出问题，尤其是你想不用任何JWT库，只用现有在线工具快速演示验证流程的时候。下面我给你一套纯在线工具的验证步骤，完全避开JWT库，一步步复现签名生成过程：

核心逻辑先明确 #

HS256的签名本质是：HMAC-SHA256(Base64URL(header) + "." + Base64URL(payload), 密钥)，再把这个哈希结果做Base64URL编码，就是JWT的第三段签名。我们要手动复现这个过程。

步骤1：生成Header和Payload的Base64URL编码 #

你的Header是{ "alg": "HS256", "typ": "JWT" }，Payload是{ "sub": "..." }（把你完整的Payload JSON补全）：

• 找一个Base64URL在线编码器（划重点：是Base64URL，不是普通Base64）
  • 把Header的JSON字符串（注意要去掉多余空格，保持紧凑格式，比如{"alg":"HS256","typ":"JWT"}）输入进去，得到对应的Base64URL串（标准HS256 header的编码结果是eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9，应该和你生成的JWT第一段完全一致）
  • 用同样的方式处理你的Payload JSON，得到它的Base64URL编码串

步骤2：拼接编码后的Header和Payload #

把步骤1得到的两个Base64URL串用英文句号.连接起来，比如：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ

步骤3：用HMAC-SHA256生成签名 #

找一个HMAC-SHA256在线工具，一定要注意这几个细节：

• 输入类型选择「文本/字符串」，把步骤2拼接好的字符串输进去
• 密钥类型选择「文本/字符串」，输入你的密钥：hONPMX3tHWIp9jwLDtoCUwFAtH0RwSK6
• 输出格式优先选「Base64URL」；如果工具只有普通Base64输出，你要手动转成Base64URL：把+替换成-，/替换成_，去掉末尾所有的=符号

步骤4：对比验证 #

把步骤3生成的Base64URL签名，和你原JWT的第三段对比。如果完全一致，说明签名是有效的。

为什么有些在线工具会验证失败？ #

大概率是踩了这几个坑：

• 工具用了普通Base64而非Base64URL：保留了+、/或者末尾的=，导致签名不匹配
• 密钥输入模式错误：有些工具默认把密钥当成十六进制字符串，你要确保切换到「文本/字符串」模式
• Header/Payload的JSON格式不一致：比如多了空格、换行，或者键名写错（比如把alg写成Alg，JWT要求键名是小写的）

举个实际例子，用你的密钥和标准HS256 header+示例payload，生成的签名应该是dyt0CoV7qI03sfnz04gGxrMc4XvXlM6J2OQ0yW8Q4kM，你可以用这个来测试工具是否正确。

内容的提问来源于stack exchange，提问作者skplunkerin